Es könnte zwar gehen, aber es entstünden dabei vermutlich Sicherheitslücken, die ein Angreifer dann nutzen könnte, um doch als root zu agieren.

Speziell beim Ändern der IP und de Hostnamens könnte sowas passieren. Auch der evtl. nötige Neustart der daemons könnte eine zusätzliche Gelegenheit bieten.

Das Risiko ist IMHO auch hoch, dass ein Angreifer zwar nicht als root, aber als der Benutzer des Apache-/MySQL-Servers agiert, weil er ja "Schwachstellen" in den Konfigurationsdateien nutzen könnte, z.B. kann er darin ja seine Malware als Interpreter für irgendwas angeben und es dann über eine HTTP-Anfrage starten. Gerade auch weil er ja PHP-Scripte nach belieben ins Document-Root legen kann.

bei apache und mysql sehe ich jetzt nicht das problem, die kann man ja mit userrechten auch starten (wenn erlaubt), müssen eben ports üner 1024 benutzt werden (evtl umleitung der anfragen durch iptables port 80 -- > port <neu>

bei der ip frage ich mich natürlich, wieso ein user die verstellen sollte, denn dann sind ja auch nameserver entsprechend zu informieren
im prinzip ist das aber auch durch ein spezielles script möglich.

Mit dem Befehl "man hostname" (beenden mit Q) kannst Du Dir i.d.R. ansehen, wie das auf Deinem System läuft.
(Hier ist eine Online-Version dieser man-page, aber die Infos daruaf sind definitiv distributionsabhängig (!), versionsabhängig und gelten für Dein System wahrscheinlich nicht, daher solltest Du lieber auf dem betroffenen System nochmal ins dort installierte Manual schauen: böse Online-Version. Insbesondere die aufgeführten Dateien sind oft, wie auch bei mir, anders.)

Den MySQL-Dump kann man auch einspielen, wenn man nicht root ist. Auch im MySQL kann man einen speziellen Benutzer dafür anlegen und ihm eingeschränkte Rechte vergeben, so dass er u.a. (!) die Datenbank, mit den Rechten drin ("mysql"), nicht verändern kann. Insbesondere die Rechte FILE, SUPER und GRANT OPTION sollte man nicht bei sowas vergeben, aber auch andere könnten es einem Bösewicht erleichtern.
Es gibt auch die Möglichkeit mysqld in einem chroot laufen zu lassen. Eine entsprechende Kommandozeilenoption sollte bereits vorhanden sein.

Auch beim ersetzen des Document-Root muss man keine root-Rechte haben.

Zum Glück denkt linuxerr an alles. An die Sache mit den Ports habe ich auch gedacht, nur hab' ich's dann total vergessen hinzuschreiben, weil ich ein vergesslicher Depp bin xD
Ähnliches gilt natürlich auch für den MySQL-Port, aber das wird wohl kaum auffallen, da der i.d.R. sowiso 3306 ist bzw. meist nur von wenigen, lokalen Rechnern benutzt wird.

Das Problem, in diesem Fall, insbesondere beim Apache (aber sonst auch z.B. bei MySQL!), ist aber, dass der Benutzer, mit dem der Prozess später läuft, in der Konfigurationsdatei angegeben werden kann, wenn der Daemon zuvor als root (auch andere Benutzer möglich?) gestartet wurde. Je nach Konfiguration können auch andere Gründe als nur der Port vorliegen, die es notwendig machten als root zu starten, aber nur der Port ist wirklich *der* Knackpunkt.
Bei MySQL gibt es da, je nach Konfiguration, mehr Knackpunkte, aber hier möchtest Du ja sowiso nicht die Konfigurationsdatei verändern lassen.

Zitat

Original von chicken62
ich schreibe ein bash-script, das root gehört und in der gruppe ist, in der auch der spezielle user ist und setzte die rechte so, dass dieser user dieses script ausführen darf wenn der fall eintrifft. ("Backup-szenario")

1. auf ein bash-script kann man kein suid-bit setzen, dh wenn darin kommandos enthalten sind, die nur root ausführen darf, dann werden diese kommandos nicht abgearbeitet, wenn ein benutzer das script ausführt!!! root kann solche aufgaben nicht durch ein script übertragen, die der benutzer ausführt. dazu benötigst du eine andere scripttechnik. für einen backup (http-root, etc) ist ein solches root-script auch nicht nötig, sondern nur für die ip/namensänderung. es wäre nicht schlecht, wenn du mal verraten würdest, wozu das gut sein soll, dass ein user sowas ändern darf!

Zitat

in diesem script (das unter root rechten ausgeführt wird?) kann ich wie ich jetzt gelernt habe leicht mit ifconfig und host die ip und den rechnername ändern.

wie gesagt, das geht so nicht.

Zitat

auspacken eines gesicherten und vorhandenen doc-root.tar auch kein problem. das dump einlesen sollte auch gehen mit mysql -u irgendwer -p usw. das könnte ein extra mysql-user sein (wie gelernt :-) ) der nur den dump dieser db einspielen darf

ja, dennmysql hat eine eigene rechteverwaltung (siehe oben, beitrag von oziris)

Zitat

( hier muß ich aber nochmal gucken im phpmyadmin. zum schluss noch die httpd.conf.rechnername_neu über die alte httpd.conf kopieren.

httpd.conf und die dokumentenverzeichnisse müsssen nur in bereiche gelegt werden, zu denen der user zugang hat.

Zitat

dann mach ich dummling nen init 6 im suse. dann rebootet die kiste für alle fälle und alles ist eingelesen und fertig.
alles das wären doch nur ein paar zeilen in diesem script und gut is ?
bin gespannt, bestimmt lacht ihr euch schlapp :-)

wozu willst du den rechner rebooten, das ist unfug. in einem linuxsystem kann man jeden dienst einzelnen stoppen und starten. in fast allen distributionen gibt es dazu start/stopp-scripte im verzeichnis /etc/rc.d........

Zitat

Original von chicken62
ok, das bash-script funktioniert aber, wenn ich mit sudo dem user die rechte gebe, dies auszuführen? (das wird dann die nächste baustelle ...)

dann kannst du ihm ja auch gleich das root passwort geben!

noch mal die frage, warum soll ein user denn die ip einstellen können?

AFAIK kann man doch bei sudo genau einstellen, wer was darf:
http://pwet.fr/man/linux/formats/sudoers

Vielleicht geht das damit doch einigermaßen sicher.

Ich weiß nicht, ob man bei Scripten auch den Interpreter als root erlauben muss. Wenn das so ist, dann könnte der Benutzer den Interpreter auch ohne das Script als root starten und das wäre bei den gängigen Interpretern eine üble Sicherheitslücke bzw. in Deinem Fall wohl eher eine Gefahr der unbeabsichtigten Zerstörung der Konfiguration; also wenn der Interpreter z.B. die bash wäre, dann könnte man "sudo bash" eingeben und könnte dann einfach als root weiterarbeiten...

Weiß jemand darüber bescheid? Ich kann das grad nicht testen

Was aber recht sicher gehen müsste, wäre das einzelne erlauben der Befehle in dem Script. Dann wird das Script nicht als root gestartet, aber darin steht dann z.B. "sudo hostname $1;", dann würde nur dieser Befehl als root ausgeführt.

PS: Ich benutze sudo nur selten, da ich auf den meisten Rechnern entweder der einzige bin, der was als root machen darf oder ich eben gar nix als root machen darf/sollte. Wenn man mir z.B. auf der Arbeit einen root-Zugang geben will, den ich gar nicht brauche, dann bin ich Profi genug, um das abzulehnen.

die ip-umstellung kann komplett in ein script und das muss per sudoers für den user zur ausführung frei gegeben werden.
dann reicht ein
sudo <pfad_da_hin><scriptname> <parameter>
aus und er kann name und ip ändern.

Die Fehlermeldung Beschreibt genau das Problem:
sudo: must be set uid root = sudo muss so eingestellt sein, dass es mit der Benutzer-ID von root startet.

Im Linux kann man über das Rechte-System eine Datei so markieren, dass sie beim Start mit den Rechten eines anderen Benutzers ausgeführt wird. Das ist hier gemeint.

Backups machen Tippfehler rückgängig.

in der datei /etc/sudoers kannst du genau angeben, welcher user sudo benutzen darf und welche tools,scripte etc er damit starten darf.